CODING 增强安全漏洞扫描能力，助力团队“安全左移”

关注

发布于: 2021 年 05 月 21 日

代码安全问题频现，防控迫在眉睫

2010 年，大型社交网站 rockyou.com 被曝存在 SQL 注入漏洞，黑客利用此漏洞获取到 3200 万用户记录；2015 年，英国电话和宽带供应商 TalkTalk 被一名 15 岁的黑客利用 SQL 注入漏洞进行攻击，泄露近 400 万客户资料；2018 年，万豪泄漏 3.39 亿客人个人信息，被处以 1840 万英镑（约合人民币 1.6 亿元）罚款。

根据 WhiteHat Security 的一项研究表明，各个行业所使用的应用程序中，至少有 50％包含一个或多个严重的可利用漏洞，这些层出不穷的安全漏洞将会对企业的生产运营构成重大威胁。但传统的静态应用程序安全性测试（SAST）往往需要较长的扫描分析时间，稍大的项目经常需要花费好几小时来进行扫描，实时性较差，在版本迭代快速的 Web 应用开发中严重拖慢整条流水线；同时误报率也较高，同一个漏洞多次报警的情况更是常有发生，开发团队需要耗费大量资源来确认并去除这些误报，导致团队无法敏捷地融入到 DevSecOps 中。

DevSecOps 是 Gartner 在 2012 年就提出的概念。它的目标是将安全嵌入到 DevOps 的各个流程中去（需求，架构，开发，测试等），从而实现安全的左移，让所有人为安全负责，将安全性从被动转变为主动，最终让团队可以更快速地开发出更安全的产品。

面对潜在的产品安全隐患与实现 DevSecOps 的层层挑战，如何推动“安全左移”、如何通过在 DevOps 的基础上平稳建设 DevSecOps 以保障开发安全，已成为企业研发团队需要重点关注的课题。

CODING x Xcheck，全面强化代码安全能力

CODING 代码扫描自开放试用以来，已累计为 5000+ 团队提供扫描服务，通过分析代码仓库中的源代码，帮助开发团队及时发现其中潜藏的代码缺陷、安全漏洞以及不规范代码；并且自动生成问题列表，附带修改建议，便于团队成员快速修复问题，提升代码稳定性；还通过对代码进行度量，统计出结构异常复杂的方法及重复代码供开发人员调整，进而提升代码可维护性。

而在助力企业建设 DevSecOps 的道路上，CODING 代码扫描也在不断深耕，本次更新在原有代码可靠性、代码规范扫描能力的基础上，针对代码安全进行了全面强化，集成腾讯 CSIG 自研静态应用安全测试工具 -Xcheck，开放腾讯内部强大的研发能力，帮助研发团队精准检测业务代码，及时发现并规避安全风险。

Xcheck 基于成熟的污点分析技术，以及对抽象语法树的精准剖解，通过巧妙优雅的方式实现污点的传递和跟踪。经测试，在 4 核 16G 的 Linux 云主机上，Xcheck 对项目的检查速度在 1w+ 行/s，部分项目可以达到 2w+ 行/s，同时经过对 Xcheck 投喂大量项目进行误报优化，目前 Xcheck 各语言的误报率已低于 10%，作为一个轻量化插件，Xcheck 在减少对使用者的打扰下，能够更快速准确地发现潜藏在代码中的安全风险，全方位帮助研发团队安全生产代码，保障代码安全。

一键启用，为企业数字化资产保驾护航

现在基于 CODING 代码扫描，您就可以享受到 Xcheck 身经百战的代码安全分析能力。前往 CODING，在「代码扫描 - 扫描方案」中一键启用 Xcheck 规则包即可开始进行代码安全检测，无需额外设置，操作简单便捷，目前已支持 Java 语言，Python、PHP、Go、JS 等语言将在 4 月陆续支持。